امنیت رادیو میکروتیک فقط انتخاب یک رمز عبور قوی نیست. در پروژه‌های دوربین مداربسته، رادیو بخشی از مسیر انتقال تصویر و در بسیاری از مواقع یکی از نقاط دسترسی به شبکه است؛ بنابراین تنظیم نادرست سرویس‌های مدیریتی، Firewall، حساب‌های کاربری یا شبکه Wireless می‌تواند کل زیرساخت CCTV را در معرض دسترسی ناخواسته، اختلال یا تغییر تنظیمات قرار دهد.
این راهنما یک چک‌لیست عملی برای امنیت رادیو میکروتیک قبل از تحویل پروژه است. هدف این نیست که RouterOS را با تنظیمات پیچیده و غیرضروری سنگین کنیم؛ بلکه باید سطح دسترسی را محدود، سرویس‌های اضافی را حذف، مدیریت را کنترل و امکان بازیابی امن را حفظ کنیم. اگر هنوز ساختار اصلی لینک را نساخته‌اید، ابتدا آموزش کانفیگ رادیو میکروتیک برای دوربین مداربسته را مطالعه کنید. برای دیدن مسیر جامع یادگیری از مبانی تا طراحی و اجرای پروژه نیز آموزش رادیو میکروتیک را ببینید.
در یک لینک PTP یا PtMP، رادیوها معمولاً بین سایت دوربین و مرکز مانیتورینگ قرار دارند. اگر پنل مدیریتی آن‌ها برای بخش بزرگی از شبکه یا اینترنت قابل دسترس باشد، مهاجم یا حتی یک کاربر داخلی غیرمجاز ممکن است بتواند تنظیمات IP، Wireless، Bridge، Route یا Firewall را تغییر دهد.
نتیجه فقط یک مشکل امنیتی نیست؛ تغییر اشتباه می‌تواند لینک را از دسترس خارج کند و انتقال تصویر چندین دوربین را هم‌زمان متوقف کند. به همین دلیل Hardening رادیو باید بخشی از فرآیند استاندارد تحویل پروژه باشد.
اولین کار، بررسی کاربران RouterOS است. حساب‌هایی که استفاده نمی‌شوند نباید فعال باقی بمانند و برای مدیریت روزمره بهتر است حساب مشخص با نام غیرقابل حدس و سطح دسترسی متناسب ایجاد شود.
استفاده مشترک چند تکنسین از یک حساب واحد، ردیابی تغییرات را دشوار می‌کند. در پروژه‌های سازمانی بهتر است دسترسی هر فرد متناسب با مسئولیت او تعریف و پس از پایان همکاری حذف شود.
رمز مدیریت رادیو نباید همان رمز Wi-Fi، دوربین، NVR، مودم یا سایر پروژه‌ها باشد. استفاده مجدد از Password باعث می‌شود افشای یک رمز، چند تجهیز را هم‌زمان در معرض خطر قرار دهد.
همه کاربران لازم نیست Full Access داشته باشند. اگر فردی فقط برای مانیتورینگ یا بررسی وضعیت لینک وارد می‌شود، دسترسی او باید متناسب با همان وظیفه باشد. اصل Least Privilege یعنی هر حساب فقط مجوزهایی را داشته باشد که واقعاً نیاز دارد.
این کار احتمال تغییر تصادفی یا سوءاستفاده از حساب‌های سطح پایین‌تر را کاهش می‌دهد.
RouterOS سرویس‌های مدیریتی مختلفی مانند Winbox، SSH، WebFig، API و سرویس‌های قدیمی‌تر در اختیار دارد. هر سرویسی که در پروژه استفاده نمی‌شود بهتر است غیرفعال باشد.
برای مثال اگر تیم فقط با Winbox مدیریت می‌کند، فعال ماندن Telnet، FTP یا API بدون نیاز عملی سطح حمله را افزایش می‌دهد. فعال یا غیرفعال کردن سرویس باید با توجه به روش واقعی پشتیبانی پروژه انجام شود.
صرف فعال بودن Winbox یا SSH مشکل اصلی نیست؛ مهم این است که چه IPهایی اجازه اتصال دارند. در یک طراحی حرفه‌ای، Management فقط از Subnet یا VLAN مشخص انجام می‌شود.
اگر مدیریت رادیو فقط از شبکه مرکزی انجام می‌شود، نیازی نیست تمام کاربران LAN یا سایت‌های دوربین بتوانند صفحه Login رادیو را مشاهده کنند.
WebFig برای مدیریت از مرورگر مفید است، اما اگر در فرآیند پشتیبانی استفاده نمی‌شود، فعال ماندن آن ارزش خاصی ندارد. در صورت نیاز به مدیریت تحت وب، دسترسی آن را محدود و از روش امن مناسب استفاده کنید.
هدف این است که تعداد Interfaceهای مدیریتی در معرض دسترسی، حداقل لازم باشد.
Firewall می‌تواند مشخص کند چه شبکه‌هایی اجازه دسترسی به خود رادیو را دارند. یک سیاست مناسب معمولاً ابتدا ارتباطات ضروری و Established/Related را در نظر می‌گیرد، سپس دسترسی مدیریتی را فقط برای IPها یا Subnetهای مجاز باز می‌کند و در نهایت درخواست‌های غیرضروری را مسدود می‌کند.
ترتیب Ruleها بسیار مهم است. یک Drop اشتباه ممکن است دسترسی خود مدیر شبکه را قطع کند؛ بنابراین تغییرات Firewall را مرحله‌ای و با امکان Rollback انجام دهید.
در پروژه‌هایی که چند IP مدیریتی وجود دارد، Address List نگهداری Ruleها را ساده‌تر می‌کند. به‌جای تکرار چندین Rule، می‌توانید IPهای مجاز را در یک فهرست قرار دهید و Firewall را بر اساس همان فهرست تنظیم کنید.
این روش هنگام تغییر IP لپ‌تاپ پشتیبانی، NOC یا سرور مانیتورینگ نیز مدیریت را ساده‌تر می‌کند.
یکی از بهترین روش‌ها این است که IP مدیریتی رادیوها در شبکه‌ای جدا از ترافیک عادی دوربین قرار گیرد. در پروژه‌های بزرگ می‌توان از VLAN مدیریت استفاده کرد تا کاربران یا تجهیزات CCTV به‌صورت مستقیم به پنل رادیو دسترسی نداشته باشند.
برای انتخاب معماری لایه دوم و سوم، راهنمای Bridge یا Routing در لینک میکروتیک را ببینید.
Neighbor Discovery برای شناسایی تجهیزات در شبکه مفید است، اما لازم نیست اطلاعات رادیو روی تمام Interfaceها قابل مشاهده باشد. در شبکه‌های بزرگ بهتر است Discovery فقط جایی فعال باشد که تیم مدیریت واقعاً به آن نیاز دارد.
کاهش اطلاعات قابل مشاهده برای کاربران عادی، بخشی از Hardening شبکه است.
مدیریت بر اساس MAC در زمان نصب و بازیابی بسیار کاربردی است، اما فعال بودن آن روی تمام Interfaceها می‌تواند محدودیت‌های IP Firewall را دور بزند. پس از پایان نصب، MAC Management را فقط روی Interfaceهای مورد نیاز یا شبکه مدیریت محدود کنید.
این نکته مخصوصاً در Bridgeهای بزرگ اهمیت بیشتری دارد، چون تعداد دستگاه‌هایی که از نظر لایه دوم به رادیو دسترسی دارند افزایش پیدا می‌کند.
لینک رادیویی باید از تنظیمات امنیتی متناسب با نسخه RouterOS و قابلیت تجهیزات استفاده کند. رمز یا Key لینک نباید ساده، مشترک با مدیریت یا قابل حدس باشد.
در PtMP نیز دسترسی Stationها باید کنترل شود و اتصال هر دستگاه ناشناس به Access Point پذیرفته نشود. امنیت Wireless باید در کنار امنیت Management دیده شود؛ قوی بودن یکی ضعف دیگری را جبران نمی‌کند.
نام Wireless بهتر است اطلاعات حساس مانند نام مشتری، آدرس دقیق، شماره پروژه یا نقش حیاتی سایت را فاش نکند. مخفی کردن SSID به‌تنهایی مکانیزم امنیتی قابل اتکا نیست، اما انتخاب نام مناسب از افشای اطلاعات غیرضروری جلوگیری می‌کند.
استفاده طولانی‌مدت از نسخه‌های قدیمی می‌تواند دستگاه را از اصلاحات امنیتی و پایداری محروم کند. با این حال Upgrade در پروژه عملیاتی باید برنامه‌ریزی‌شده باشد و قبل از آن Backup و سازگاری نسخه بررسی شود.
برای فرآیند صحیح، مقاله آپدیت رادیو میکروتیک؛ RouterOS و Firmware را مطالعه کنید.
در برخی سناریوها به‌روزرسانی Packageهای RouterOS به معنی پایان کامل فرآیند نیست و Firmware مرتبط با RouterBOARD نیز باید بررسی شود. بعد از Upgrade، نسخه‌ها و وضعیت عملکرد رادیو را دوباره کنترل کنید.
سرویس DNS روی رادیویی که قرار نیست DNS Server شبکه باشد نباید بی‌دلیل برای Clientهای مختلف پاسخ‌گو باشد. همچنین زمان صحیح برای Logها، Certificateها و تحلیل رخدادها مهم است؛ بنابراین NTP باید از منبع قابل اعتماد و متناسب با معماری شبکه استفاده کند.
زمان اشتباه می‌تواند بررسی Logها را هنگام عیب‌یابی بسیار دشوار کند.
باز کردن مستقیم Winbox، SSH یا WebFig روی اینترنت عمومی در بسیاری از پروژه‌ها ضرورتی ندارد. اگر پشتیبانی از راه دور لازم است، بهتر است مسیر مدیریت امن و کنترل‌شده طراحی شود و فقط منابع مجاز امکان اتصال داشته باشند.
هر Port Forward مدیریتی باید دلیل مشخص، محدودیت دسترسی و فرآیند بازبینی داشته باشد.
پس از نهایی شدن تنظیمات، Backup معتبر تهیه کنید. بهتر است علاوه بر Backup باینری، Export متنی تنظیمات مورد نیاز نیز در فرآیند مستندسازی پروژه وجود داشته باشد تا در شرایط مختلف امکان بررسی یا بازسازی کانفیگ فراهم شود.
فایل Backup می‌تواند حاوی اطلاعات حساس باشد؛ بنابراین محل نگهداری آن باید امن باشد و نباید در دسترس عمومی قرار گیرد.
پس از پایان Upgrade، Backup یا انتقال فایل، بخش Files را بررسی کنید. فایل‌های قدیمی، Exportهای حساس یا Packageهای غیرضروری نباید بدون دلیل روی دستگاه باقی بمانند.
در پروژه‌های حرفه‌ای، فقط زمانی سراغ رادیو نروید که تصویر قطع شده است. وضعیت Link، CPU، Uptime و رخدادهای مهم باید قابل بررسی باشد. در شبکه‌های بزرگ می‌توان Logهای مهم را به سامانه مرکزی ارسال کرد تا سابقه رخدادها پس از Reboot یا خرابی دستگاه از بین نرود.
اگر لینک دچار قطع و وصل یا Packet Loss است، از راهنمای عیب‌یابی لینک رادیو میکروتیک استفاده کنید.
امنیت فقط نرم‌افزاری نیست. دسترسی آسان به PoE، کابل شبکه، رک یا مسیر کابل می‌تواند امکان قطع ارتباط یا اتصال مستقیم به شبکه را ایجاد کند. تجهیزات داخلی باید در محل کنترل‌شده نصب شوند و کابل‌کشی بیرونی نیز اصول نصب، ارت و حفاظت در برابر Surge را رعایت کند.
جزئیات این بخش در چک‌لیست نصب رادیو وایرلس روی دکل و پشت‌بام آمده است.
Firewall، Queue، Encryption و پردازش‌های اضافی می‌توانند روی CPU و Throughput برخی تجهیزات اثر بگذارند. پس از اعمال Hardening، لینک را زیر بار واقعی تست کنید و مطمئن شوید ظرفیت لازم برای تعداد دوربین‌ها همچنان وجود دارد.
برای برآورد ظرفیت، مقاله ظرفیت لینک وایرلس برای دوربین مداربسته را ببینید.
لیست IPها، Usernameها، Passwordها، Backupها و نقشه شبکه اطلاعات حساس پروژه هستند. این اطلاعات نباید داخل فایل عمومی، گروه پیام‌رسان یا برگه‌ای بدون کنترل دسترسی قرار بگیرند.
بهتر است مشخص باشد چه کسی مالک اطلاعات دسترسی است، چه افرادی مجاز به مشاهده آن هستند و در صورت تغییر تکنسین یا پیمانکار چه فرآیندی برای تعویض دسترسی‌ها وجود دارد.
محدودسازی بیش از حد بدون تست می‌تواند در زمان خرابی دردسر ایجاد کند. قبل از تحویل بررسی کنید که مسیر مدیریت اصلی و روش بازیابی مورد انتظار واقعاً کار می‌کند. اگر دسترسی فقط از VLAN مدیریت یا IP خاص ممکن است، این موضوع باید در مستندات ثبت شود.
| مورد | کنترل نهایی |
|---|---|
| حساب‌های کاربری | حساب‌های غیرضروری حذف یا غیرفعال شده‌اند |
| Password | قوی، منحصربه‌فرد و امن نگهداری می‌شود |
| Winbox / SSH / WebFig | فقط سرویس‌های لازم فعال و دسترسی محدود است |
| Firewall | Management فقط از منابع مجاز انجام می‌شود |
| MAC Management | به Interfaceهای ضروری محدود شده است |
| Wireless Security | Key و سیاست اتصال بررسی شده است |
| RouterOS / Firmware | نسخه و برنامه نگهداری کنترل شده است |
| Backup / Export | تهیه و در محل امن نگهداری شده است |
| Log / Time | زمان صحیح و امکان بررسی رخدادها وجود دارد |
| امنیت فیزیکی | PoE، کابل، رک، ارت و Surge بررسی شده‌اند |
| تست نهایی | دسترسی مدیریت و Throughput بعد از Hardening تست شده‌اند |
امنیت رادیو میکروتیک حاصل یک تنظیم واحد نیست؛ مجموعه‌ای از تصمیم‌های کوچک است که سطح دسترسی را کاهش می‌دهد و مدیریت پروژه را قابل کنترل‌تر می‌کند. رمز قوی، کاربران محدود، سرویس‌های مدیریتی ضروری، Firewall مناسب، جداسازی Management، کنترل MAC Access، نسخه به‌روز، Backup امن و امنیت فیزیکی باید در کنار یکدیگر دیده شوند.
مهم‌تر از سخت‌گیری بی‌هدف، طراحی متناسب با پروژه است. تنظیمات امنیتی باید هم جلوی دسترسی غیرمجاز را بگیرند و هم امکان پشتیبانی و بازیابی را برای تیم فنی حفظ کنند. پس از پایان Hardening، حتماً لینک را زیر بار واقعی آزمایش کنید و وضعیت دسترسی مدیریتی، CPU و انتقال تصویر دوربین‌ها را کنترل کنید.
